Introdução
Este documento fornece uma breve visão geral das diretrizes básicas de configuração para implantações sem fio em larga escala, como o AireOS Wireless LAN Controller (WLC) com RADIUS com o Cisco Identity Services Engine (ISE) ou o Cisco Secure Access Control Server (ACS). Este documento faz referência a outros documentos com mais detalhes técnicos.
Sintomas observados
Normalmente, os ambientes universitários encontram esse estado de fusão de AAA (Authentication, Authorization, and Accounting). Esta seção descreve os Sintomas/Logs comuns testemunhados neste ambiente.
1. Monitorar o Desempenho do RADIUS
O cliente Dotx sofre um grande atraso com muitas tentativas de autenticação.
Use o comando show radius auth statistics (GUI: Monitor > Statistics > RADIUS Servers) para procurar problemas. Procure especificamente por um grande número de Tentativas, Rejeições e Timeouts. Aqui está um exemplo:
Server Index..................................... 2
Server Address................................... 192.168.88.1
Msg Round Trip Time.............................. 3 (msec)
First Requests................................... 1256
Retry Requests................................... 5688
Accept Responses................................. 22
Reject Responses................................. 1
Challenge Responses.............................. 96
Malformed Msgs................................... 0
Bad Authenticator Msgs........................... 0
Pending Requests................................. 1
Timeout Requests................................. 6824
Unknowntype Msgs................................. 0
Other Drops...................................... 0
Procure:
- Repetição Alta: Taxa de primeira solicitação (não deve ser superior a 10%)
- Rejeição Alta: Aceitar taxa
- Tempo limite alto: Taxa de primeira solicitação (não deve ser superior a 5%)
Se houver problemas, verifique:
- Clientes configurados incorretamente
- Problemas de alcançabilidade de rede entre o WLC e o servidor RADIUS
- Problemas entre o servidor RADIUS e o banco de dados de back-end, se estiver em uso, como com o Ative Diretory (AD)
2. A WLC vê a fila RADIUS cheia nos Msglogs
A WLC recebe esta mensagem sobre a fila RADIUS:
Univ-WISM2-02: *aaa QueueReader: Dec 02 14:25:31.565: #AAA-3-3TXQUEUE_ADD_FAILED:
radius_db.c:889 Transmission queue full. Que name: Radius queue. Dropping
sessionpackets.
host = x.x.x.x.
3. Depurar AAA
Uma depuração de AAA mostra esta mensagem:
*aaaQueueReader: Dec 02 21 09:19:52.198: xx:xx:xx:xx:xx:xx Returning AAA Error
'Out of Memory' (-2) for mobile xx:xx:xx:xx:xx:xx
Uma depuração de AAA retorna o Timeout de Erro AAA (-5) para dispositivos móveis. O servidor AAA está inacessível e é seguido pela desautorização do cliente.
4. Servidor RADIUS Muito Ocupado e Não Responde
Esta é a interceptação de tempo do sistema de log:
0 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
1 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
2 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
3 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
4 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 unavailable
5 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 22) for client 68:96:7b:0e:46:7f / user 'user1@univ1.edu'
6 Wed Aug 20 15:29:57 2014 User Larry_Dull_231730 logged Out. Client MAC:84:a6:c8:
87:13:9c, Client IP:198.21.137.22, AP MAC:c0:7b:bc:cf:af:40, AP Name:Dot1x-AP
7 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 183) for client 48:d7:05:7d:93:a5 / user ' user2@univ2.edu '
8 Wed Aug 20 15:28:42 2014 RADIUS auth-server x.x.x.x:1812 unavailable
9 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 154) for client 40:0e:85:76:00:68 / user ' user1@univ1.edu '
10 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 available
11 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 unavailable
12 Wed Aug 20 15:28:41 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 99) for client 50:2e:5c:ea:e4:ba / user ' user3@univ3.edu '
13 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
14 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
15 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 30) for client b4:18:d1:60:6b:51 / user ' user1@univ1.edu '
16 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
17 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
18 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
19 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
Ajuste de práticas recomendadas
Ajuste do lado da WLC
- EAP (Extensible Authentication Protocol) - Faça com que a exclusão de cliente 802.1X funcione.
- Habilite globalmente a exclusão de cliente para 802.1X.
- Defina a exclusão de cliente nas LANs sem fio (WLANs) 802.1X como pelo menos 120 segundos.
- Defina os temporizadores de EAP conforme descrito no artigo 802.1X Client Exclusion on an AireOS WLC.
- Defina os tempos limite de retransmissão RADIUS para pelo menos cinco segundos.
- Defina Session-Timeout para pelo menos oito horas.
- Desative o failover agressivo, que não permite que um único solicitante com comportamento incorreto faça com que a WLC falhe entre os servidores RADIUS.
- Configure o Fast Secure Roaming para seus clientes.
Ajuste do servidor RADIUS
- Reduza a taxa de registro. A maioria dos servidores RADIUS é configurável quanto ao registro que armazenarão. Se o ACS ou o ISE for usado, um administrador poderá escolher quais categorias serão registradas no banco de dados de monitoramento. Um exemplo seria se os dados de contabilidade fossem enviados do servidor RADIUS e visualizados com outro aplicativo, como SYSLOG, e não gravassem os dados no banco de dados localmente. No ISE, certifique-se de que a supressão de registro permaneça sempre ativada. Se precisar ser desabilitado para fins de solução de problemas, vá para Administração > Sistema > Log > Filtros de Coleta e use a opção Ignorar Supressão para desabilitar a supressão em um ponto final ou usuário individual. No ISE versão 1.3 e posterior, um endpoint pode ser clicado com o botão direito do mouse no log de autenticação ao vivo para desabilitar também a supressão.
- Verifique se a latência da autenticação de back-end é baixa (AD, Lightweight Diretory Access Protocol (LDAP), Rivest, Shamir, Adleman (RSA)). Se você usar o ACS ou o ISE, os relatórios de resumo de autenticação poderão ser executados para monitorar a latência por servidor para latência média e máxima. Quanto mais tempo uma solicitação for processada, menor será a taxa de autenticação que o ACS ou o ISE podem processar. Em 95% das vezes, a alta latência se deve a uma resposta lenta de um banco de dados de back-end.
- Desabilite as Tentativas de Senha do PEAP (Protected Extensible Authentication Protocol). A maioria dos dispositivos não suporta novas tentativas de senha dentro do túnel PEAP, portanto uma nova tentativa do servidor EAP faz com que o dispositivo pare de responder e reinicie com uma nova sessão EAP. Isso causa timeouts de EAP em vez de rejeições, o que significa que as exclusões de clientes não serão atingidas.
- Desative os protocolos EAP não utilizados. Isso não é crítico, mas adiciona alguma eficiência à troca de EAP e garante que um cliente não possa usar um método de EAP fraco ou não intencional.
- Ative o PEAP Session Resume e a Fast Reconnect.
- Não envie Autenticações MAC para o AD se não for necessário. Essa é uma configuração incorreta comum que aumenta a carga nos controladores de domínio nos quais o ISE autentica. Isso geralmente leva a pesquisas negativas que consomem tempo e aumentam a latência média.
- Use o sensor de dispositivo onde aplicável (específico do ISE).
Feedback